Aktuelles, Branche - geschrieben von dp am Freitag, Juni 25, 2021 18:42 - noch keine Kommentare
Digitaler Impfnachweis: Gravierende Sicherheitsmängel
Security-Experten von G DATA untersuchten Covid-19-Impfnachweis für Smartphones
[datensicherheit.de, 25.06.2021] Eine Untersuchung des Digitalen Impfnachweises durch Security-Experten der G DATA CyberDefense AG hat nach eigenen Angaben ergeben, „dass es bei der Umsetzung der Sicherheit einige schwerwiegende Versäumnisse gibt. Wer es darauf anlegt, kann Impfnachweise erstellen, ohne eine Impfung bekommen zu haben.“ Ein genauer Blick auf wichtige Komponenten des seit Kurzem verfügbaren Impfnachweises zeige, dass dieser einige eklatante Schwachstellen mit sich bringt.
„Corona“-Warn-App überprüft Signaturen Digitaler Impfnachweise nicht
Die Liste der Sicherheitsprobleme sei lang: Die „Corona“-Warn-App überprüfe die Signaturen der Digitalen Impfnachweise nicht, so dass sich jeder einen auf den ersten Blick echt aussehenden Nachweis erstellen könne. Es bestehen laut G DATA aber noch viel größere konzeptionelle Probleme: „Relevante Daten aus dem gelben Impfpass, zum Beispiel die Chargennummer des Impfstoffs, werden bei der Erstellung weder überprüft noch in die Digitalen Impfnachweise übernommen.“ Dies mache eine spätere Prüfung unmöglich.
Die Zugänge für Apotheken zur Erstellung der Impfnachweise seien zudem unsicher und einmal ausgestellte Impfnachweise ließen sich im Missbrauchsfall nicht widerrufen. Dabei mangele es nicht an den technischen Grundlagen, sondern an der Umsetzung. „Es entsteht der Eindruck, dass die Einführung des Digitalen Impfnachweises vor allem ein Schnellschuss war. Eine schnelle Lösung vor Beginn der Ferienzeit präsentieren zu können, war offenbar wichtiger als eine von Anfang an sichere Lösung“, kommentiert Thomas Siebert, „Head of Protection Technologies“ bei G DATA CyberDefense.
Betrüger könnten u.U. mit Anmeldedaten einer Apotheke nach Belieben Impfnachweise erstellen
Apotheken, Arztpraxen und Impfzentren erstellten die Impfnachweise mit Hilfe einer Website. Der Zugang für dieses Web-Portal sei lediglich mit einem Benutzernamen und einem Passwort gesichert – „eine Mehrfaktor-Authentifizierung findet nicht statt“. Auf das Abgreifen von Zugangsdaten spezialisierte Schadprogramme gehörten seit Jahren zum Standard-Repertoire Cyber-Krimineller. „Betrüger, die sich zum Beispiel die Anmeldedaten einer Apotheke widerrechtlich aneignen, können theoretisch das Portal nutzen, um nach Belieben Impfnachweise zu erstellen.“
Impfnachweise ließen sich auch in der „Corona“-Warn-App (CWA) des Robert Koch-Instituts (RKI) einbinden, um sie per Smartphone vorzeigen zu können. Ob die elektronische Signatur des eingescannten Nachweises auch gültig ist, überprüfe die Applikation allerdings nicht. Mit ein paar Zeilen Programmcode sei es möglich, sich einen QR-Code mit einem Phantasie-Impfnachweis zu erstellen, der von der „Corona“-Warn-App problemlos akzeptiert werde und einer Sichtprüfung ohne Weiteres standhalte. „Eine tatsächliche Verifizierung des Impfnachweises ist nur mit der ,CovCheck-App‘ möglich.“
Weitere Informationen zum Thema:
G DATA Blog, 25.06.2021
Digitaler Impfnachweis: Massive Schwächen bei der Sicherheit
datensicherheit.de, 22.06.2021
Digitaler Impfnachweis droht an eigenen Versprechen zu scheitern / Dem Digitalen Impfnachweis wird in zu kurzer Zeit zu viel abverlangt, kommentiert Dr. Christian Schläger
datensicherheit.de, 27.05.2021
Digitaler Impfnachweis für Deutschland: Schweiz als warnendes Beispiel / Nevis erläutert Sicherheitslücken des geplanten digitalen Impfnachweises und gibt Empfehlungen zur Behebung
datensicherheit.de, 26.05.2021
Datenschutz in Corona-Zeiten: Digitale Impfpässe müssen DSGVO-konform sein / Mit Digitalen Impfpässen möchte die Europäische Kommission ein Stück Normalität zurückbringen
datensicherheit.de, 01.04.2021
Heftige Debatte zum Impfpass – Datenschützer fordern Bundesgesetz / Impfpass könnte für Besuch eines Restaurants oder Konzerts entscheidend werden
Aktuelles, Experten - Okt 11, 2024 19:58 - noch keine Kommentare
Cyber Resilience Act der EU verabschiedet – Fraunhofer IEM nimmt Stellung
weitere Beiträge in Experten
- BigBrotherAwards 2024 an Deutsche Bahn, Karl Lauterbach, Sachsens Innenminister, Shein und Temu sowie Technikpaternalismus
- Berechtigtes Interesse: BfDI begrüßt EDSA-Leitlinien
- Incident Response in Industrie-Unternehmen: Online-Veranstaltung am 16. Oktober 2024
- Cyber-Sicherheit industrieller Anlagen: Internationales OT-Grundsatzpapier veröffentlicht
- BKA-II Entscheidung: BfDI begrüßt Klarheit für geplante Modernisierung polizeilicher Computersysteme
Aktuelles, Branche - Okt 10, 2024 19:38 - noch keine Kommentare
Open Source Software – unbestreitbare Vorteile sowie Risiken
weitere Beiträge in Branche
- Kritische Sicherheitslücken im Linux-CUPS-System erfordern umgehende Maßnahmen
- SBOM: Software-Stücklisten laut ONEKEY-Studie noch immer kein Standard in der Industrie
- Präsidentschaftswahlen in den USA 2024: Wahl-Phishing auf dem Vormarsch
- Zunehmende Bedrohung in der digitalen Welt durch Deepfake-Angriffe
- Microsoft-E-Mails: Tausende verschiedener Fälschungen im Umlauf
Branche, Umfragen - Dez 21, 2020 21:46 - noch keine Kommentare
Threat Hunting: Bedeutung und Wertschätzung steigt
weitere Beiträge in Service
- Umfrage: 71 Prozent der IT-Entscheidungsträger besorgt über Mehrfachnutzung von Passwörtern
- Fast die Hälfte der Unternehmen ohne geeignete Sicherheitsrichtlinien für Remote-Arbeit
- Umfrage: Bedeutung der Konsolidierung von IT-Sicherheitslösungen
- TeleTrusT-Umfrage: „IT-Sicherheit im Home Office“
- Cybersicherheit: SANS-Studie zu Frauen in Führungspositionen
Kommentieren